Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO

Załącznik nr 2 do Zarządzenia Nr 58/16 z dnia 22 czerwca 2016 roku Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO POZNAŃ 2016 KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO

SPIS TREŚCI I. WSTĘP... 4 II. AUDYT WEWNĘTRZNY... 5 1. Podstawy prawne funkcjonowania audytu wewnętrznego... 5 2. Definicje audytu wewnętrznego.... 5 3. Rola i miejsce audytu wewnętrznego w strukturze organizacyjnej Uczelni... 8 4. Cele i zadania audytu wewnętrznego.... 8 5. Zasady etyki zawodowej... 11 6. Zasady audytu wewnętrznego... 13 7. Dokumenty potrzebne audytorowi wewnętrznemu... 14 III. PLANOWANIE AUDYTU WEWNĘTRZNEGO... 15 1. Identyfikacja ryzyka... 15 2. Analiza ryzyka... 16 3. Plan roczny audytu wewnętrznego... 31 IV. ETAPY WYKONYWANIA ZADANIA ZAPEWNIAJĄCEGO... 33 I ETAP FAZA WSTĘPNA... 33 1. Wstępne zapoznanie z jednostką audytowaną... 33 2. Ocena systemu kontroli wewnętrznej... 35 II ETAP PLANOWANIE... 37 1. Zaplanowanie czynności audytorskich... 37 2. Program zadania zapewniającego... 37 3. Zawiadomienie jednostki audytowanej o rozpoczęciu audytu.. 39 III ETAP - REALIZACJA CZYNNOŚCI AUDYTOWYCH... 39 1. Narada otwierająca... 39 2. Przeprowadzenie zaplanowanych testów... 40 3. Zebranie faktów i ich ocena... 43 4. Narada zamykająca... 43 IV ETAP - SPORZĄDZENIE SPRAWOZDANIA Z ZADANIA ZAPEWNIAJĄCEGO 44 1. Sprawozdanie... 44 2. Zmiany lub uzupełnienia do sprawozdania... 45 V ETAP CZYNNOŚCI SPRAWDZAJĄCE MONITORING... 45 V. DOKUMENTACJA AUDYTU WEWNĘTRZNEGO... 46 1. Cele tworzenia dokumentów roboczych... 46 2. Cechy dobrej dokumentacji roboczej... 46 3. Badanie dokumentów... 48 KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 2

4. Dokumenty robocze audytu... 48 5. Charakterystyka dokumentów roboczych audytu... 51 6. Typy dowodów audytowych... 54 7. Źródła i rodzaje dowodów... 55 8. Akta audytu wewnętrznego... 56 VI. METODY I TECHNIKI AUDYTU WEWNĘTRZNEGO... 60 1. Techniki audytu wewnętrznego... 60 2. Próbkowanie- Rozpoznawcze badanie próbek... 62 3. Testy... 63 4. Metody analityczne... 64 VII. PODSUMOWANIE.. 68 VIII. ZAŁĄCZNIKI... 69 KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 3

I. WSTĘP CEL OPRACOWANIA KSIĘGI PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO Księga procedur i zasad audytu wewnętrznego, zwana dale księgą, zawiera opis procedur stosowanych przez audytora wewnętrznego w trakcie realizacji zadań audytowych we wszystkich jednostkach organizacyjnych Uczelni a także opis narzędzi, metod i standardów operacyjnych audytu wewnętrznego, sprawozdawczości, czynności audytorskich, problematyki szkoleń zawodowych audytorów wewnętrznych. Księga stanowi szczegółową instrukcję przeprowadzania audytu wewnętrznego w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu, zwanym dalej Uczelnią, mającą zastosowanie do wszystkich czynności audytowych przeprowadzanych w każdej jednostce organizacyjnej Uczelni. Ma ona za zadanie zapewnienie realizacji zadań audytowych w sposób standardowy z zastosowaniem jednolitych wzorów dokumentów audytu oraz jednolitej formy sprawozdań. Księga podlegać będzie przeglądom. Dokonywane będą jej zmiany oraz uzupełnienia związane z dynamicznym rozwojem audytu wewnętrznego, jak i procedur zawartych w międzynarodowych standardach praktyki zawodowej audytu wewnętrznego, wytycznych Ministra Finansów KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 4

II. AUDYT WEWNĘTRZNY. 1. PODSTAWY PRAWNE FUNKCJONOWANIA AUDYTU WEWNĘTRZNEGO Audyt wewnętrzny działa w Uczelni na podstawie: Ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (t. j. Dz. U. z 2013 roku, Nr 0, poz. 885 ze zm.), zwaną dalej ustawą. Rozporządzenia Ministra Finansów z dnia 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu (Dz. U. z 2015 roku, Nr 0, poz. 1480), zwanym dalej rozporządzeniem MF. Komunikat nr 6 Ministra Finansów z dnia 17 listopada 2014 roku w sprawie wzoru informacji o realizacji zadań z zakresu audytu wewnętrznego (Dz. Urz. Min. Fin. z 2014 roku, poz. 49) Międzynarodowych Standardów Praktyki Zawodowej Audytu Wewnętrznego opracowanych przez The Institute of Internal Auditors jako standardy audytu wewnętrznego w jednostkach sektora finansów publicznych (Komunikat nr 2 Ministra Finansów z dnia 17 czerwca 2013 roku w sprawie standardów audytu wewnętrznego dla jednostek sektora finansów publicznych) - Dz. Urz. Min. Fin. z 2013 roku, poz. 15, zwanych dalej standardami. Regulaminu organizacyjnego Uniwersytetu Medycznego w Poznaniu, zwanym dalej regulaminem Uczelni. Regulaminu Audytu Wewnętrznego, zwanym dalej regulaminem audytu. 2. DEFINICJE I ZAGADNIENIA AUDYTU WEWNĘTRZNEGO Zgodnie z ustawą o finansach publicznych : Audyt wewnętrzny jest działalnością niezależną i obiektywną, której celem jest wspieranie kierownik jednostki w realizacji celów i zadań poprzez systematyczną ocenę kontroli zarządczej oraz czynności doradcze. Ocena, o której mowa wyżej, dotyczy w szczególności adekwatności, skuteczności i efektywności kontroli zarządczej w jednostce. Kolejną definicję Audytu Wewnętrznego należy postrzegać przez pryzmat Międzynarodowych Standardów Praktyki Zawodowej Audytu Wewnętrznego opracowanych przez The Institute of Internal Auditors, które audyt wewnętrzny definiują następująco: KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 5

Audyt wewnętrzny to departament, wydział, zespół konsultantów lub innych ekspertów świadczący usługi zapewniające i doradcze, działający niezależnie i obiektywnie w celu przysporzenia wartości i usprawnienia działalności operacyjnej organizacji. Audyt wewnętrzny systematycznie, w uporządkowany sposób ocenia procesy: ładu organizacyjnego, zarządzania ryzykiem i kontroli i przyczynia się do poprawy ich działania, tym samym pomagając organizacji osiągnąć cele. Pozostałe definicje i zagadnienia dotyczące audytu wewnętrznego w Uczelni: Legalność obejmuje w szczególności badanie: zgodności funkcjonowania Uczelni lub jednostki audytowanej z ogólnie obowiązującymi przepisami prawa, prawidłowości stanowienia aktów kierownictwa obowiązujących w Uczelni w ramach wykonywanych zadań, zgodności audytowanej działalności z aktami administracyjnymi, orzeczeniami sądowymi, umowami cywilnoprawnymi oraz innymi obowiązującymi aktami i normami, zaniechania działania mimo prawnie określonego obowiązku. Gospodarność obejmuje w szczególności badanie: zapewnienia oszczędnego i efektywnego wykorzystania środków, uzyskania właściwej relacji nakładów do efektów (czy taki sam wynik działalności Uczelni można było osiągnąć mniejszym nakładem środków lub czy przy zastosowaniu takich samych środków można było osiągnąć lepszy wynik), wykorzystania możliwości zapobiegania lub ograniczania wysokości szkód powstałych w działalności jednostki organizacyjnej Uczelni. Celowość obejmuje w szczególności badanie: zapewnienia zgodności działań jednostki z jej celami statutowymi, zapewnienia optymalizacji zastosowanych metod i środków, ich adekwatności dla osiągnięcia założonych celów, zakresu przyjętych przez kierownictwo kryteriów oceny realizacji celów i zadań. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 6

Rzetelność obejmuje w szczególności badanie: wypełniania przez pracowników obowiązków z należytą starannością, sumiennie i terminowo, należytego wypełniania zadań Uczelni, w szczególności określonych dla poszczególnych jednostek organizacyjnych Uczelni i osób, w ramach posiadanych kompetencji i udzielonych upoważnień, dokumentowania określonych działań lub stanów faktycznych zgodnie z rzeczywistością, we właściwej formie i w wymaganych terminach, z uwzględnieniem wszystkich faktów i okoliczności. Przejrzystość obejmuje w szczególności badanie: klasyfikowania dochodów i wydatków publicznych, stosowania obowiązujących zasad rachunkowości, prowadzenia sprawozdawczości. Jawność obejmuje w szczególności badanie: udostępniania sprawozdań dotyczących finansów i działalności Uczelni, udostępniania innych informacji dotyczących funkcjonowania Uczelni i podejmowanych decyzji. Audyt wewnętrzny obejmuje w szczególności: Audyt finansowy badający: dowody księgowe i zapisy w księgach rachunkowych, zapewnienie przestrzegania procedur kontroli oraz prowadzenie wstępnej oceny celowości zaciągania zobowiązań finansowych i dokonywania wydatków, i porównujący stan faktyczny ze stanem wymaganym (pobierania i gromadzenia środków publicznych, zaciągania zobowiązań finansowych i dokonywania wydatków ze środków publicznych, udzielania zamówień publicznych oraz zwrotu środków publicznych), prowadzenie gospodarki finansowej oraz stosowanie procedur kontroli. Audyt operacyjny (systemów) badający elementy działalności operacyjnej, w tym systemów gromadzenia, dysponowania środkami i gospodarowania mieniem. Audyt zgodności badający przestrzeganie wyznaczonych wcześniej zasad i reguł z uwzględnieniem ich ekonomicznej racjonalności oraz terminowości. Audyt informatyczny badający i oceniający kontrolę wewnętrzną, która ma zapewnić, że właściwy system będzie funkcjonował zgodnie z zamierzeniami i oczekiwaniami. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 7

3. ROLA I MIEJSCE AUDYTU WEWNĘTRZNEGO W STRUKTURZE ORGANIZACYJNEJ UCZELNI. Audyt wewnętrzny w Uczelni realizowany jest przez wyodrębnioną komórkę organizacyjną Stanowisko ds. Audytu Wewnętrznego. Audytor Wewnętrzny jest pracownikiem samodzielnym i niezależnym, podlegającym bezpośrednio Rektorowi. Rolą audytu jest służenie Uczelni w sposób profesjonalny i niezależny. Audytor wewnętrzny pełni również rolę doradczą, wspomaga Uczelnię w realizacji celów i funkcji wyznaczonych przez prawno. Audyt wewnętrzny poprzez swoją działalność daje Rektorowi racjonalne zapewnienie, iż: cele postawione przed Uczelnią są realizowane, zasady i procedury wynikające z przepisów prawa powszechnie obowiązującego lub przyjęte przez Rektora/Kanclerza są wdrażane i przestrzegane, mechanizmy i procedury stanowiące system kontroli wewnętrznej są adekwatne i skuteczne dla prawidłowego działania Uczelni. Działalność audytu wewnętrznego obejmuje przede wszystkim przegląd, ocenę i weryfikację stopnia przestrzegania, efektywności oraz adekwatności mechanizmów kontroli. Audytor, jako doradca nie dysponuje żadnymi uprawnieniami władczymi wobec pracowników Uczelni i nie ustanawia ani nie wdraża zasad i procedur a jedynie dokonuje ich oceny i składa sprawozdania z ustaleniami dotyczącymi możliwości ich ulepszeń. Audyt wewnętrzny prowadzony jest zgodnie krajowymi i międzynarodowymi standardami, jest skorelowany z celami organizacji i spełnia wymagania ustawowe. 4. CELE I ZADANIA AUDYTU WEWNĘTRZNEGO. Audyt wewnętrzny charakteryzuje się przyjęciem odmiennego niż kontrola wewnętrzna operacyjnego celu działania - jest nim ocena zarządzania Uczelnią, która powinna dawać racjonalne zapewnienie jej prawidłowego działania. 4.1. Celem prowadzenia audytu wewnętrznego jest uzyskanie przez Rektora/Kanclerza oceny funkcjonowania Uczelni pod względem adekwatności, skuteczności i efektywności systemów, poprzez: a) analizę ryzyka, dotyczącego działalności Uczelni, b) ocenę środowiska kontroli wewnętrznej, która ma na celu eliminowanie lub ograniczenie wystąpienia ryzyka, c) niezależne badanie systemów zarządzania i kontroli w Uczelni, w tym procedur kontroli finansowej, KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 8

d) składanie sprawozdań z poczynionych ustaleń, oraz tam gdzie jest to właściwe przedstawianie zaleceń, e) wyrażanie opinii na temat skuteczności mechanizmów kontrolnych, f) dostarczenie w oparciu o ocenę systemu kontroli wewnętrznej, racjonalnego zapewnienia że Uczelnia działa prawidłowo, g) realizację czynności doradczych, w tym składanie wniosków mających na celu usprawnienie funkcjonowania Uczelni. Co rozumiemy przez: Ryzyko: możliwość zaistnienia zdarzenia, które będzie miało wpływ na realizację założonych celów Uczelni. Ryzyko jest mierzone wpływem (skutkami) i prawdopodobieństwem wystąpienia. Analiza ryzyka obejmuje ocenę ryzyka i zarządzanie ryzykiem. Ocena ryzyka jakościowa i ilościowa ocena zagrożeń związanych z działalnością Uczelni. Środowisko kontroli wewnętrznej - zasady procedury, rutyny, zabezpieczenia fizyczne oraz zaangażowany personel. W korzystnym środowisku kontrolnym najważniejsze jest nastawnie kierownictwa, przestrzeganie udokumentowanych zasad i procedur, niezawodne systemy i bezzwłoczne wykrywanie i naprawa błędów, personel o odpowiednich kwalifikacjach i kontrolowanej rotacji. 4.2. Cele audytu realizowane są przez: a) badanie: wiarygodności sprawozdań finansowych Uczelni poprzez sprawdzenie: przestrzegania zasad rachunkowości, zgodności zapisów w księgach rachunkowych z dowodami księgowymi, zgodności sprawozdań finansowych z zapisami w księgach rachunkowych, b) ocenę: adekwatności, efektywności i skuteczności systemów kontroli, w tym przestrzeganie procedur wstępnej oceny celowości zaciągania zobowiązań finansowych i dokonywania wydatków, c) ocenę: adekwatności, efektywności i skuteczności przestrzegania procedur zarządzania ryzykiem i kierowania Uczelnią, d) ocenę: przestrzegania zasady celowości i oszczędności w dokonywaniu wydatków, uzyskania optymalnych efektów w ramach posiadanych środków oraz przestrzegania terminów realizacji zadań i zaciąganych zobowiązań, e) badanie: efektywności pobierania i gromadzenia środków publicznych, zaciągania zobowiązań finansowych i dokonywania wydatków ze środków publicznych, udzielania zamówień publicznych oraz zwrotu środków publicznych, KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 9

f) działania doradcze, które są uzgodnione z władzami Uczelni i których zamierzeniem jest przysporzenie wartości dodanej oraz usprawnienie procesów zarządzania, zarządzania ryzykiem i kontroli, z zachowaniem zasady, że audytor wewnętrzny nie przejmuje na siebie odpowiedzialności przypadającej władzom Uczelni. Zadaniem audytu wewnętrznego w Uczelni jest dostarczanie Rektorowi obiektywnego zapewnienia oraz niezależnych opinii i informacji o działalności Uczelni, ujawnianie wszelkich braków i nieprawidłowości, czuwanie nad efektywnością systemu kontroli wewnętrznej, przestrzeganiem przepisów i instrukcji w celu zagwarantowania bezpieczeństwa ekonomicznego i finansowego Uczelni oraz wspierania uporządkowanej i skutecznej realizacji zadań strategicznych poprzez: zapewnienie działalności Uczelni w sposób uporządkowany i efektywny, zapewnienie realizacji polityki kierownictwa Uczelni, ocenę efektywności ochrony majątku Uczelni, zapewnienie wiarygodności raportów finansowych oraz sprawozdawczości zarządczej, zapewnienie kompletności i poprawności ewidencji księgowej, aktywne zapobieganie powstawaniu strat, błędów i nadużyć finansowych poprzez ciągłe monitorowanie efektywności systemu kontroli wewnętrznej, zapewnienie zgodności działań z obowiązującym porządkiem prawnym, zasadami wiedzy fachowej oraz ustalonymi normami i procedurami. Audyt polega na wykonywaniu czynności uzależnionych od siebie i wzajemnie uzupełniających się, takich jak: ustalenie stanu faktycznego w zakresie funkcjonowania gospodarki finansowej Uczelni poprzez ocenę efektywności i celowości wydatkowania środków i znajdowanie możliwości poprawy, określanie oraz analizowanie przyczyn i skutków stwierdzonych uchybień, znajdowanie możliwości poprawy w tym zakresie oraz doradzanie w zakresie metod rozwiązywania zaistniałych problemów, określenie poziomu adekwatności i efektywności operacyjnych i rachunkowych systemów kontroli wewnętrznej, ocena wiarygodności i kompletności informacji finansowych oraz środków użytych w celu identyfikacji, wyliczenia i klasyfikacji oraz raportowania tych informacji, ocena systemów funkcjonalnych zapewniających zgodność z tymi działaniami, planami, procedurami i przepisami, które mają decydujący wpływ na funkcjonowanie Uczelni, ocena środków stosowanych dla ochrony majątku Uczelni, koordynacja prac z audytorami zewnętrznymi, w tym monitorowanie zaleceń audytorów zewnętrznych, KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 10

prowadzenie bieżącej dokumentacji każdego przeprowadzonego audytu wewnętrznego w celu udokumentowania przebiegu i wyniku zadania audytowego, przedstawianie sprawozdań z rekomendacjami kierownikom jednostek audytowanych, ocena planów służących realizacji zaleceń audytu przedstawionych przez kierowników jednostek audytowanych. Jeżeli ocena wypadnie negatywnie, prowadzenie dalszych rozmów uzyskania satysfakcjonujących decyzji. 5. ZASADY ETYKI ZAWODOWEJ. Audytor wewnętrzny powinien przestrzegać następujących zasad etyki zawodowej: 5.1. Uczciwość. Uczciwość audytora wewnętrznego powinna budować zaufanie do jego pracy, a przez to stanowić podstawę do polegania na jego ocenie. Audytor wewnętrzny: a) powinien wykonywać swoją pracę uczciwie, odpowiedzialnie i z zaangażowaniem, b) powinien przestrzegać prawa oraz przepisów wewnętrznych obowiązujących w Uczelni, c) powinien uznawać i wspierać cele Uczelni, które są zgodne z prawem i zasadami etyki, d) powinien przedkładać dobro publiczne nad interesy własne i swojego środowiska, e) nie powinien angażować się w działania sprzeczne z prawem, które mogłyby podważyć zaufanie do zawodu audytora wewnętrznego lub Uczelni. 5.2. Obiektywizm. Audytor wewnętrzny zachowuje najwyższy stopień obiektywizmu podczas prowadzenia audytu wewnętrznego, w szczególności przy zbieraniu, ocenianiu i przekazywaniu informacji na temat badanej działalności lub procesu. Audytor wewnętrzny dokonuje wyważonej oceny, biorąc pod uwagę wszystkie istotne okoliczności związane z przeprowadzanym zadaniem audytowym. Formułując swoją ocenę nie kieruje się własnym interesem ani nie ulega wpływom innych osób. Audytor wewnętrzny: a) powinien chronić swoją niezależność przed próbami wpływania na wypracowane przez niego ustalenia i zalecenia, b) powinien przedstawiać jasne i przejrzyste sprawozdania z przeprowadzonych przez siebie zadań audytowych, opartych na dowodach zebranych i ocenionych zgodnie z obowiązującymi regulacjami i uznaną praktyką w zakresie audytu wewnętrznego, KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 11

c) powinien ujawniać wszystkie istotne fakty, o których posiada wiedzę, a których nie ujawnienie mogłoby zniekształcić sprawozdanie z przeprowadzenia badania określonego obszaru działalności Uczelni, d) nie powinien uczestniczyć w działaniach, które mogłyby uniemożliwić dokonanie bezstronnej oceny lub byłyby w sprzeczności z interesami Uczelni, e) nie powinien uchylać się od podejmowania trudnych decyzji. 5.3. Poufność. Audytor wewnętrzny szanuje wartość i własność informacji, które otrzymuje i nie ujawnia jej bez odpowiedniego upoważnienia chyba, że istnieje prawny lub zawodowy obowiązek jej ujawnienia. Audytor wewnętrzny: a) powinien rozważnie wykorzystywać i chronić informacje uzyskane w trakcie wykonywania swoich obowiązków, b) nie powinien wykorzystywać informacji dla uzyskania osobistych korzyści lub w jakikolwiek inny sposób, który byłby sprzeczny z prawem lub przynosiłby szkodę celom Uczelni. 5.4. Profesjonalizm. Audytor wewnętrzny wykorzystuje posiadaną wiedzę, umiejętności i doświadczenie do przeprowadzania audytu wewnętrznego. Audytor wewnętrzny powinien: a) podejmować się przeprowadzenia tylko takich zadań audytowych, do wykonania których posiada wystarczającą wiedzę, umiejętności i doświadczenie, b) przeprowadzać audyt wewnętrzny zgodnie z przepisami ustawy o finansach publicznych oraz ze Standardami Audytu Wewnętrznego dla jednostkach sektora finansów publicznych, c) stale podwyższać swoje kwalifikacje zawodowe oraz efektywność i jakość wykonywanych zadań audytowych, d) dążyć do pełnej znajomości aktów prawnych oraz wszystkich faktycznych i prawnych okoliczności pojawiających się w trakcie przeprowadzanych zadań audytowych, e) zawsze być przygotowany do jasnego merytorycznego i prawnego uzasadnienia własnych decyzji i sposobu postępowania. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 12

5.5. Postępowanie i relacje pomiędzy audytorami wewnętrznymi. Audytor wewnętrzny postępuje w sposób sprzyjający umacnianiu współpracy i dobrych stosunków z innymi audytorami. Audytor wewnętrzny: a) swoim postępowaniem i wzajemną współpracą w ramach uprawianej profesji umacnia jej rangę i prestiż, b) w stosunkach z innymi audytorami postępuje w sposób godny i uczciwy. 5.6. Konflikt interesów. Audytor wewnętrzny nie bierze udziału w zadaniach audytowych, których przeprowadzenie może prowadzić do powstania konfliktu interesów. Audytor wewnętrzny obowiązany jest: a) upewnić się, że wprowadzone uwagi i wnioski poczynione w trakcie audytu wewnętrznego oraz zalecenia nie przenoszą na niego żadnych kompetencji ani odpowiedzialności w zakresie zarządzania Uczelnią oraz gwarantują, że funkcje tego rodzaju pozostają w całkowitej i wyłącznej kompetencji kierownika jednostki, b) dbać o ochronę swojej niezależności i unikać konfliktu interesów, odmawiając przyjmowania jakichkolwiek korzyści, które mogłyby naruszać jego całkowitą niezależność, uczciwość i obiektywizm w wykonywanej pracy lub mogłyby być postrzegane w ten sposób, c) unikać wszelkich związków z członkami kadry kierowniczej i z pracownikami audytowanej przez siebie jednostki oraz innymi osobami, które mogą wywierać na niego naciski albo w jakikolwiek sposób umniejszać lub ograniczać zdolność do działania, d) unikać powiązań, które mogą powodować ryzyko korupcji lub mogą być źródłem wątpliwości co do obiektywizmu i niezależności audytora. 6. ZASADY AUDYTU WEWNĘTRZNEGO. 6.1. Zasada funkcjonalnej niezależności. Stanowi ona fundament audytu podkreślając konieczność niezależności funkcji (czynności) audytu wewnętrznego od funkcji zarządczych czy operacyjnych Uczelni. Gwarantem niezależności audytora jest jego bezpośrednia podległość Rektorowi, który zapewnia jego niezależność organizacyjną. 6.2. Zasada obiektywizmu i bezstronności. Wymaga od audytora traktowania badanych procesów czy pracowników Uczelni w sposób bezstronny (nie może, więc audytor bezpośrednio badać procesów, w których on sam albo osoba mu bliska była zaangażowana). KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 13

6.3. Zasada kontradyktoryjności. Wprowadza ona możliwość sprzeciwu wobec uwag i wniosków przedstawionych w sprawozdaniu oraz nakłada obowiązek przeprowadzania spotkań (narad) z pracownikami jednostki audytowanej. Warto podkreślić, że zasada ta stanowi o nieobligatoryjności zaleceń audytora wewnętrznego, o tym rozstrzyga i decyduje ostatecznie Rektor. 6.4. Zasada profesjonalizmu i rzetelności. Wymaga, aby osoby przeprowadzające audyt miały odpowiednią wiedzę umiejętności i profesjonalizm. Działania audytowe powinny być wykonywane w sposób rozważny, ale zdecydowany i skuteczny. 6.5. Zasada sprawozdawczości. Wyznacza warunki komunikowania wyników audytu i nakłada obowiązek sporządzania sprawozdania z zadania zapewniającego, które zawiera cele i zakres prac badawczych oraz wnioski i zalecenia. 6.6. Zasada planowości. Nakłada obowiązek sporządzania planu audytu wraz z terminarzem, który tworzony jest na podstawie tzw. analizy ryzyka ze szczególnym uwzględnieniem celów i procedur służących osiągnięciu tych celów. 7. DOKUMENTY POTRZEBNE AUDYTOROWI WEWNĘTRZNEMU. Statut Uniwersytetu Medycznego, Struktura organizacyjna Uniwersytetu Medycznego, Regulamin organizacyjny Uczelni i jej poszczególnych jednostek, listy, upoważnień, wzory podpisów, Regulamin Pracy Uczelni, Dane personalne (kto jaką funkcję pełni, liczba i struktura zatrudnionych, itp.), Dane statystyczne i finansowe, Raporty z poprzednich kontroli i zagadnienia do ponownego badania, Zarządzenie Rektora i Kanclerza, Uchwały Senatu Uczelni Instrukcje wewnętrzne, Zarządzenia i polecenia upoważnionych organów zewnętrznych, Przepisy prawne dotyczące działalności Uczelni. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 14

III. PLANOWANIE AUDYTU WEWNĘTRZNEGO. 1. IDENTYFIKACJA RYZYKA. Przez ryzyko rozumie się: możliwość zaistnienia zdarzenia, które będzie miało wpływ na realizację celów Uczelni. Ryzyko jest mierzone wpływem (skutkami) i prawdopodobieństwem wystąpienia. Ocena ryzyka powinna być obecna na każdym etapie pracy audytora wewnętrznego, poprzedzającym opracowanie sprawozdania z przeprowadzenia audytu. Przeprowadzenie oceny ryzyka powinno w szczególności poprzedzać sporządzenie rocznego planu audytu wewnętrznego. Ograniczenie ryzyka w zakresie działalności Uczelni jest podstawowym celem audytu wewnętrznego. 1.1. W procesie oceny ryzyka wyróżniamy dwa etapy: a) identyfikacja obszarów ryzyka b) analiza ryzyka w wyniku, której zostaną uszeregowane obszary ryzyka pod względem ich ważności dla działania Uczelni, a w konsekwencji ustalona kolejność przeprowadzania zadań zapewniających. Audytor wewnętrzny identyfikuje obszary ryzyka, czyli procesy, zjawiska lub problemy wymagające przeprowadzenia audytu, zgodnie z najlepiej pojętą profesjonalną wiedzą i zawodową oceną. Ich rozpoznanie zależeć zawsze będzie od wiedzy audytora na temat działalności Uczelni oraz jego intuicji. 1.2. Zbierając informacje niezbędne przy identyfikacji obszarów ryzyka audytor powinien brać pod uwagę: a) cele i zadania Uczelni, b) przepisy prawne dotyczące działania Uczelni (ewentualne zmiany w tych przepisach), c) wyniki wcześniej przeprowadzonego audytu lub kontroli, d) wyniki wcześniej dokonywanych innych ocen adekwatności, efektywności i skuteczności systemów kontroli w Uczelni, w tym kontroli finansowej, e) sprawozdania finansowe oraz sprawozdania z wykonania budżetu, f) wyniki rozmów, jakie przeprowadził z kierownictwem, kierownikami jednostek organizacyjnych i innymi pracownikami Uczelni, g) pytania i wnioski, jakie kierują do niego pracownicy Uczelni, h) ankiety i kwestionariusze badające opinię pracowników Uczelni, i) informacje dotyczące Uczelni opublikowane w prasie, radiu, telewizji, na stronach internetowych czy listach dyskusyjnych itp. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 15

1.3. Identyfikując obszary ryzyka audytor wewnętrzny powinien: a) zapewnić sobie dostęp do istotnych źródeł informacji o wszystkim tym, co dotyczy Uczelni, b) śledzić wszelkie zmiany w organizacji Uczelni - powoływanie nowych jednostek organizacyjnych, czy grup zadaniowych, c) zapoznawać się z harmonogramami prac poszczególnych jednostek organizacyjnych, d) zbierać i czytać dokumenty wykorzystywane przez te jednostki do monitorowania postępu swoich prac i osiągania celów (np. składane cyklicznie sprawozdania), e) zadbać o to, aby przy zbieraniu informacji odnoszących się do obszaru ryzyka mieć możliwość odbywania rozmów z kluczowymi osobami zajmujących się danym problemem, f) mieć możliwość przeglądania korespondencji, a także protokółów spotkań i narad, g) uczestniczyć w spotkaniach kierownictwa (jeżeli jest to możliwe w danej jednostce). Pomocne dla audytora przy badaniu obszarów ryzyka mogą być także sprawozdania i inna dokumentacja kontroli dokonywanych przez Dział Kontroli Wewnętrznej Uczelni, jak również dodatkowe ustne informacje uzyskane od kontrolerów. Najważniejszym źródłem informacji mogą się w praktyce okazać rozmowy z pracownikami Uczelni. Audytor powinien okazać swoim rozmówcom jak największe zainteresowanie, wysłuchać ich, nie narzucać swoich wniosków założonych z góry. Należy pamiętać, że pracownicy Uczelni na ogół wiedzą znacznie więcej niż audytor o określonym problemie i mogą zaproponować jego rozwiązanie. Audytor powinien być dla nich wiarygodnym rozmówcą. Musi zdobyć zaufanie i podkreślać, że skutkiem zbierania przez niego informacji nie będą represje ze strony kontrolerów czy kierownictwa, a jedynie ewentualne podjęcie działań prewencyjnych dla zapewnienia prawidłowego działania Uczelni. Nie można przy tym zakładać, że rozmowa przyniesie zawsze konkretne, pożądane przez audytora ustalenia. 2. ANALIZA RYZYKA. Audyt wewnętrzny koncentruje się w pierwszej kolejności na analizie ryzyka wykorzystywanej, jako narzędzie planowania i zarządzania. Kierowanie Uczelnią wiąże się z realizacją wyznaczonych celów. Dla Uczelni misją jest zaspakajanie określonych potrzeb społecznych. Aby skutecznie funkcjonować w zmieniającym się środowisku kierownictwo Uczelni musi zarządzać ryzykiem. Zadaniem kierownictwa wszystkich szczebli jest zwiększanie prawdopodobieństwa osiągnięcia zamierzonych celów. Dostępne zasoby są ograniczone, więc aby uzyskać optymalne efekty zarządzania należy je wykorzystywać rozważnie, uwzględniając wszystkie istotne ryzyka. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 16

Ryzyko jest to możliwość zaistnienia zdarzenia, które będzie miało wpływ na realizację założonych celów Uczelni. Ryzyko jest mierzone wpływem (skutkami) i prawdopodobieństwem wystąpienia. Analiza ryzyka obejmuje ocenę ryzyka i zarządzanie ryzykiem. Jest to metoda oceny podatności systemu lub grupy systemów na czynniki ryzyka. Czynnik ryzyka jest to zdarzenie, działanie lub zaniechanie działania, które może spowodować wystąpienie ryzyka. Czynniki ryzyka to kryteria używane do określenia względnego znaczenia i prawdopodobieństwa zaistnienia sytuacji lub zjawisk mogących mieć wpływ na działalność Uczelni. Liczba wykorzystanych czynników powinna być ograniczona, ale wystarczająca do zapewnienia faktu, że ocena ryzyka jest bezstronna. 2.1. Czynniki ryzyka dzielimy na następujące kategorie: a) czynniki wewnętrzne: jakość kontroli wewnętrznej, kompetencje kierownictwa, wielkość jednostki, złożoność działań, skomplikowanie systemu, rotację kluczowej kadry, presję wywieraną przez kierownictwo, struktura organizacyjna i podział obowiązków. b) czynniki zewnętrzne: nowe przepisy prawa, zmiana regulacji, zachowanie i praktyki konkurencji, zmiany ekonomiczne, zmiany zachowań i upodobań klientów (studentów, pacjentów), presja społeczna, siły wyższe (pożar, powódź, trzęsienie ziemi), środowisko naturalne i jego ochrona. Analiza ryzyka wspomaga planowanie, pozwala ocenić poszczególne elementy systemu kontroli wewnętrznej, pozwala ocenić jak kierownictwo zarządza ryzykiem, pozwala określić źródła i charakter zagrożeń oraz ich wpływ na działalność, ocenia prawdopodobieństwo wystąpienia ryzyka, pozwala wyznaczyć sposoby eliminacji lub zmniejszenia prawdopodobieństwa wystąpienia ryzyka. Ryzyko jest analizowane z perspektywy zasobów organizacji (zasobów fizycznych, finansowych, ludzkich oraz niematerialnych). Po uzyskaniu i zebraniu informacji następuje klasyfikacja czynników ryzyka, a następnie pomiar ryzyka. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 17

2.2. Dokonując analizy napływających informacji audytor zwraca uwagę na newralgiczne, wrażliwe punkty związane z działalnością Uczelni, bierze pod uwagę także takie zagadnienia jak: a) działania Uczelni, które mogą wpływać na opinię publiczną, b) cele i zadania Uczelni, c) przepisy prawne dotyczące działalności Uczelni, d) liczba, rodzaj i wielkość dokonywanych operacji finansowych, e) wielkość majątku, którym dysponuje Uczelnia, f) sytuacja finansowa Uczelni, g) możliwość dysponowania przez Uczelnię środkami pochodzącymi ze źródeł zagranicznych, niepodlegających zwrotowi przy uwzględnieniu wymogów dawcy, h) liczba i kwalifikacje pracowników Uczelni, i) uwagi pracowników Uczelni, j) warunki pracy w Uczelni, k) postawy etyczne pracowników, ich nastawienie i motywacja do realizacji zadań Uczelni, l) przewidywane zmiany przepisów prawnych, m) zmiana zakresu rzeczowego lub terytorialnego działalności Uczelni, n) zmiany sposobu działalności, zmiany personelu, struktury organizacyjnej oraz systemu informatycznego, o) specyficzne ryzyka związane ze sprawami, którymi zajmuje się wybrany wydział, dział itp. p) jakość i bezpieczeństwo używanych systemów informatycznych, q) jakość kierowania daną jednostką organizacyjną doświadczenie, kwalifikacje ich kierowników, delegowanie kompetencji, r) wyniki wcześniej przeprowadzonego audytu lub kontroli, s) czas od poprzedniego audytu lub kontroli, t) akceptacja ustaleń poprzedniego audytu lub kontroli w danej jednostce oraz podjęte działania naprawcze. 2.3. Poszczególne kroki w analizie ryzyka: a) wskazanie obszarów ryzyka, b) wyodrębnienie systemów w danym obszarze, c) określenie ryzyk (zadań), na jakie narażony jest dany system, d) określenie poziomu wrażliwości procesu na ryzyko, e) wybranie metody obliczania ryzyka, f) przeprowadzenie analizy ryzyka, g) dokonanie interpretacji uzyskanych wyników. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 18

Audytor powinien opracować ujednolicone wytyczne dla ocen ryzyka i nadawania znaczenia poszczególnym obszarom ryzyka. Korzystając z ujednoliconych kryteriów (wag) audytor decyduje, jaki czynnik będzie miał decydujący wpływ na wybór obszaru działalności Uczelni do przeprowadzenia zadania zapewniającego. 2.4. Audytor wewnętrzny może wykorzystać wiele metod oceny ryzyka takich jak: a) matryce ryzyka, b) mapa ryzyka, c) kwestionariusz samooceny ryzyka, d) ustalenie znaczenia ryzyka wyłącznie na podstawie opisu ryzyka. 2.5. Model ryzyka opiera się na następujących sześciu czynnikach ryzyka: a) Ustalenia poprzednich audytów. Ustalenia poprzednich audytów świadczą o dyscyplinie systemu kontroli wewnętrznej w Uczelni. Istotne odstępstwa, znaczne korekty, większa niż zwykle liczba wniosków oraz ich bezskuteczna powtarzalność często znamionują problemy. Odwrotnie, brak wniosków albo bezzwłoczna reakcja na poprzednie ustalenia świadczy o dyscyplinie systemu kontroli wewnętrznej. b) Ocena wrażliwości. Wrażliwość w analizie ryzyka jest miarą właściwego ryzyka związanego z ocenianą jednostką, czyli tego, co może się nie udać i jakie to spowoduje konsekwencje. Może to być ryzyko związane z utratą lub uszkodzeniem majątku, nie wykrytym błędem, nieznanym lub błędnie skalkulowanym zobowiązaniem, lub ryzyko niekorzystnej opinii publicznej, odpowiedzialności prawnej, itp. Ocena wrażliwości powinna także uwzględniać wielkość elementu uniwersum w porównaniu z jego elementami, potencjalne zagrożenie i jego prawdopodobieństwo. c) Środowisko kontrolne. Reprezentuje łącznie zasady, procedury, zabezpieczenia fizyczne oraz zaangażowany personel. W korzystnym środowisku kontrolnym najważniejsze jest nastawienie kierownictwa, przestrzeganie udokumentowanych zasad i procedur, niezawodne systemy, bezzwłoczne wykrywanie i naprawa błędów, odpowiedni personel o kontrolowanej rotacji. Odwrotnie, brak nadzoru, liczne błędy, brak dokumentacji, niekontrolowane zaległości w pracy, wysoka rotacja oraz nie rutynowe transakcje to objawy złego środowiska kontrolnego. d) Materialność. Kryterium to odzwierciedla na ile działania jednostek audytowanych wywołują implikacje finansowe. Im większe implikacje finansowe tym większe ryzyko związane z działalnością tych jednostek. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 19

e) Stabilność - podatność na zmiany. Doświadczenie uczy, że zmiany wywierają duży wpływ na system kontroli wewnętrznej i sprawozdawczość finansową. Zwykle zmiany wywierają korzystne skutki uboczne, które wymagają nasilenia prac audytowych. Zmiany takie to reorganizacje, nagłe i częste wahania obciążenia pracą, nowe systemy, przejęcia, pozbywanie się obowiązków, nowe przepisy oraz rotacja personelu. Jednostki organizacyjne niepodlegające zmianom wymagają mniejszego nasilenia prac audytowych. f) Ocena złożoności. Złożoność jest to czynnik ryzyka, który odzwierciedla możliwość przeoczenia błędów lub nieprawidłowości z powodu złożoności środowiska. Ocena złożoności zależy od wielu czynników: zakres automatyzacji, skomplikowane obliczenia, wzajemnie powiązane i współzależne działania, liczba usług, rozpiętość czasowa szacunków, uzależnienie od osób trzecich, oczekiwania opinii publicznej, czas przetwarzania, uregulowania prawne i funkcjonujące przepisy oraz wiele innych czynników, w tym czynniki nieuświadamiane, wpływają na ocenę złożoności danego audytu. 2.6. W Uczelni analiza ryzyka prowadzona będzie przy pomocy metody matematycznej i mieszanej z wykorzystaniem arkuszy kalkulacyjnych. Kryteria i wagi mogą ulegać zmianie w kolejnych latach. a) Metoda matematyczna. Jest to metoda przeprowadzana w oparciu o wzory matematyczne z zastosowaniem arkuszy kalkulacyjnych. Działania te przeprowadzane są po uzyskaniu opinii od kierownictwa Uczelni, jak również w oparciu o opinię kierowników poszczególnych jednostek organizacyjnych Uczelni. Dostarczają one lepiej udokumentowanych argumentów jednak wymagają stałego uaktualniania. Metoda ta jest subiektywna w doborze faktów, ustaleniu znaczenia tych faktów, ustaleniu wag czynników ryzyka oraz interpretowaniu wyliczonych ryzyk, jednak uwzględnia preferencje kierownictwa. Metoda ta umożliwia pomiar trendów i pozwala modelować przyszłe zmiany biorąc pod uwagę potrzeby Uczelni. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 20

Przykład 1 1. Punktem wyjścia jest identyfikacja wszystkich możliwych systemów, czyli wykonanie oceny potrzeb audytu. Wszystkie systemy wyliczone są w kolumnie 1 ("Opis systemu"). 2. Następnie należy określić wszystkie możliwe zadania zapewniające dla danego systemu (kolumna 2 Nazwa zadania zapewniającego ). 3. Po zasięgnięciu opinii kierowników jednostek organizacyjnych określany jest priorytet - kolumna 5 "Priorytet kierowników jednostek organizacyjnych Uczelni". Dla każdego z zadań zapewniających przyznawane są wagi, które zostaną użyte w modelu. W zależności od znaczenia, jakie audytor wewnętrzny przywiązuje do opinii kierowników przyznane wagi mogą się zmieniać. W prezentowanym modelu przyznane dla ww. priorytetu wagi wynoszą: wysoki - 0,30 (tj. 30%), średni - 0,15 (tj. 15%), niski - 0,0 (tj. 0%). 4. Po zasięgnięciu opinii kierownictwa wyższego szczebla, określany jest priorytet - kolumna 6 "Priorytet kierownictwa". Dla każdego z zadań zapewniających przyznawane są wagi, które zostaną użyte w modelu. W prezentowanym modelu przyznane dla priorytetu kierownictwa wagi wynoszą: wysoki - 0,30 (tj. 30%), średni - 0,15 (tj. 15%), niski - 0,0 (tj. 0%). 5. W kolumnie 7 uwzględniany czas, jaki upłynął od ostatniego audytu (kolumna 7 Poprzedni audyt ). W prezentowanym modelu przyznane wagi wynoszą: nigdy - 0,3 (tj. 30%), >4 lata-0,2 (tj. 20%), 3-2 lata-0,1 (tj. 10%), 1 rok - 0 (tj. 0%). 6. Określenie wag dla kryteriów ryzyka w modelu. Pomocna jest tabela z kryteriami ryzyka. Suma poszczególnych wag musi wynosić 1. Wagi dla poszczególnych kryteriów ustalane są przez audytora na podstawie profesjonalnego osądu. Wagi poszczególnych kryteriów ryzyka mają wpływ na wynik obliczeń wskazany w kolumnie 13 ( Ocena ryzyka po uwzględnieniu kryteriów ). 7. Przyznanie punktów dla przyjętych w tym modelu kategorii ryzyka. Punkty dla poszczególnych kryteriów przyznawane są przez audytora na podstawie jego 1 Przytoczono za Krzysztof Czerwiński, Audyt Wewnętrzny, Wydanie I, Warszawa 2004 r. s. 78-81. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 21

profesjonalnego osądu. Punkty (1, 2, 3, lub 4) przyznane dla poszczególnych kategorii po uwzględnieniu wag (pkt. 6) są wykorzystane do obliczenia rezultatu w kolumnie 13 ( Ocena ryzyka po uwzględnieniu kryteriów ). 8. Kolumna Ocena ryzyka po uwzględnieniu kryteriów. Algorytm obliczeń jest następujący: [(waga materialność x liczba punktów) + (waga wrażliwość x liczba punktów) + (waga kontrola wewnętrzna x liczba punktów) + (waga stabilność x liczba punktów) + (waga złożoność x liczba punktów)] / 4. (4 to wartość maksymalna jaką można przyznać dla danego kryterium). Obliczenia dla zadania zapewniającego nr 1.2: [(0,25 x 3) + (0,15 x 3) + (0,25 x 2) + (0,15 x 4) + (0,20 x 2)] / 4 = 0,675 = 67,5% 9. Ocena ryzyka według daty ostatniego audytu. Obliczenia uwzględniają wynik w kolumnie 13 oraz datę przeprowadzenia ostatniego audytu (wynik w kolumnie 14). Algorytm obliczeń jest następujący: wynik kolumna 13 + wartość wagi z pkt. 5 przyznana dla danego okresu w kolumnie 7). Obliczenia dla zadania zapewniającego nr 1.2: 67,5% % + 20% (2000 r. 0,2 tj. 20%) = 87,5 % 10. Ocena ryzyka według priorytetu kierownictwa. Obliczenia uwzględniają wynik w kolumnie 14 oraz dodatkowo priorytet kierownictwa. Algorytm obliczeń jest następujący: Wynik z kolumny 15 ( Ocena ryzyka po uwzględnieniu priorytetu kierownictwa ) = Wynik z kolumny 14 + wartość liczbowa odpowiadająca priorytetowi kierownictwa kolumna 6. Obliczenia dla zadania zapewniającego nr 1.2: 87,5 % + 30% (wysoki 0,3 tj. 30%) = 117,5 % 11. Ocena ryzyka według priorytetu kierowników jednostek organizacyjnych. Obliczenia uwzględniają wynik w kolumnie 15 oraz dodatkowo priorytet kierowników jednostek organizacyjnych. Algorytm obliczeń jest następujący: Wynik z kolumny 16 ( Ocena ryzyka po uwzględnieniu priorytetu kierownictwa ) = Wynik z kolumny 15 + wartość liczbowa odpowiadająca priorytetowi kierowników jednostek organizacyjnych kolumna 5. Obliczenia dla zadania zapewniającego nr 1.2: 87,5 % + 15% (duży 0,15 tj. 15%) = 102,5 % KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 22

12. Sprowadzenie uzyskanych wyników procentowych do wspólnego mianownika. Wynik zapisany jest w kolumnie 17 ( Końcowa ocena ryzyka ). Algorytm obliczeń jest następujący: Obliczenia dla zadania zapewniającego nr 1.2: 102,5% : 190% = 0,593 = 53,9 % 190 % jest wartością maksymalną jaką może uzyskać w analizie ryzyka zadanie zapewniające. Każde zadanie może uzyskać od 13,2 % (25 % : 190 % x 100) do 100 % (190 % : 190 % x 100). 13. Kolumna 18 ( Ilość dni audytowych ) pozwala przyporządkować poszczególnym zadaniom zapewniającym odpowiednią ilość dni roboczych 100 % do 75 % - najwyższy priorytet 90 dni roboczych, 75 % do 50 % - wysoki priorytet 60 dni roboczych, 50 % do 30 % - średni priorytet 45 dni roboczych, poniżej 30 % niski priorytet - 30 dni roboczych. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 23

MATRYCA RYZYKA Wyniki metody Opis Nazwa mieszane system zadania j u zapew. (ryzyko ważone) Wyniki analizy Ocena ryzyka po Kategoria ryzyka ryzyka uwzględnieniu Priorytet przeprowadzone kierowników Priorytet Poprzedni przez Kontrolę jednostek Kierownictwa audyt Zarządczą (zadania organizacyjnych wskazane jako potencjalnie zagrożone z nigdy-0,3 0,25 0,15 0,25 0,15 0,2 wynikiem powyżej wysoki - 0,30 wysoki - 0,30 >4 lata-0,2 (waga) 10 punktów) średni - 0,15 średni - 0,15 3-2 lata-0,1 Punktacja 1-4 zgodnie z analiza z 2013 roku niski - 0 niski - 0 1 rok - 0 tabelą kryteriów 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 Obszar 1 Zadanie 1.1 Wysoki X 100,0 120,0 150,0 94,7 Średni Wysoki 2011 4 4 4 4 4 180,0% % % % % 90 Obszar 1 Zadanie 1.2 Średni >10 67,5 Średni Wysoki 2015 3 3 2 4 2 87,5% 117,5 53,9 102,5% % % % 60 Obszar2 Zadanie 2.1 Niski x 70,0 36,8 Wysoki Niski nigdy 4 2 1 3 4 70,0% 70,0% 70,0% % % 45 Obszar 2 Zadanie 2.2 Niski x 25,0 23,7 Niski Niski 2016 1 1 1 1 1 45,0% 45,0% 45,0% % % 30 Materialność Wrażliwość Kontrola wew. Stabilność Złożoność Kryteriów Daty ost. Audytu Priorytetów kierownictwa priorytet kierowników jednostek organizacyjnych OCENA KOŃCOWA RYZYKA Ilość dni na zad. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO

Kryteria ryzyka L.p. Materialność Wrażliwość systemu Kontrola wewnętrzna Stabilność/ podatność Stopień skomplikowania (1)* (2)* na zmiany (3)* 1 Brak implikacji finansowych Mała wrażliwość Silna Bardzo stabilny, brak potrzeby rozwoju, modyfikacji Niski 2 System z implikacjami finansowymi Umiarkowanie wrażliwy Racjonalna Stabilny, marginalne zmiany Umiarkowany 3 System - duże implikacje finansowe Wrażliwy Umiarkowana Znaczące zmiany, planowane nowe modyfikacje Wysoki 4 Rozbudowany / znaczący system finansowy Bardzo wrażliwy Słaba Nowo wdrażany system Bardzo wysoki Wagi 0,25 0,15 0,25 0,15 0,20 *(1)Wrażliwość systemu *(2) Kontrola wewnętrzna *(3) Złożoność Czynniki wpływające na ocenę ; - poufność danych - wpływ błędu na inny system - znaczenie polityczne - wrażliwość klientów - etc. Czynniki wpływające na ocenę: - wnioski z poprzednich audytów - rozdział obowiązków - jakość kadr/ systemu - morale/ rotacja kadr - istnienie regulacji, procedur Czynniki wpływające na ocenę : - złożoność wymagań/ regulacji - liczba subsystemów - granice systemu (przekraczanie) - liczba etapów procedowania - etc. Waga nadawana jest po dokonaniu wstępnego szacunku w odniesieniu do długości okresu od ostatniego audytu 1 Rok = 0; 2-3 Lat = 0,1; >4 Lat =0,2 ; Nigdy = 0,3 Waga końcowa uzależniona jest od priorytetów zarządu KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 26

b) Metoda mieszana. 2 Jest to metoda przeprowadzana wyłącznie przez audytora wewnętrznego, w oparciu o wzory matematyczne z zastosowaniem arkuszy kalkulacyjnych. Metoda ta jest subiektywna w doborze faktów, ustaleniu znaczenia tych faktów, ustaleniu wag czynników ryzyka oraz interpretowaniu wyliczonych ryzyk, audytor dokonuje tzw. profesjonalnego osądu. Metoda ta umożliwia porównanie własnego osądu audytora do uzyskanej podczas przeprowadzenia analizy ryzyka metodą matematyczną opinii od kierownictwa Uczelni, jak również kierowników poszczególnych jednostek organizacyjnych Uczelni. Etapy planowania rocznego/strategicznego Wyodrębnienie typów działalności Uczelni. Typy działalności Uczelni wyodrębnione przy tej metodzie są adekwatne do typów branych pod uwagą przy metodzie matematycznej. Wyodrębnione zostały dwa typy działalności Uczelni: I. Podstawowa (zawierająca 3 obszary). II. Wspomagająca (zawierająca 4 obszary). Wyszczególnienie obszarów w poszczególnych typach działalności. Tak jak w przypadku typów działalności obszary zostały również wyszczególnione spójnie z obszarami z metody matematycznej. Wyszczególnionych zostało 7 następujących obszarów: 1. Działalność dydaktyczna (określający 3 zadania). 2. Działalność naukowo - badawcza (określający 5 zadań). 3. Pozostała działalność podstawowa (określający 2 zadania). 4. Zarządzanie Uczelnią (określający 4 zadania). 5. Działalność na rzecz studentów (określający 4 zadania). 6. Zarządzanie zasobami ludzkimi (administracja i nauczyciele akademiccy) (określający 5 zadań). 7. Zarządzanie majątkiem (określający 3 zadania). 2 Na przykładzie metody opracowanej przez Biuro Audytu Wewnętrznego Ministerstwa Finansów. KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO

Określenie zadania w poszczególnych systemach. Odpowiednio jak przy metodzie matematycznej określone zostały także zadania w obrębie danego obszaru. Określonych zostało 26 następujących zadań: 1. Rekrutacja 1.1 2. Kształcenie studentów 1.2 3. Kształcenie ustawiczne 1.3 4. Badania naukowe 2.1 5. Współpraca naukowa 2.2 6. Kształcenie kadry naukowej 2.3 7. Komercjalizacja i transfer 2.4 8. Zarządzanie kapitałem intelektualnym 2.5 9. Upowszechnianie i pomnażanie osiągnięć nauki, kultury i techniki 3.1 10. Inne działania podstawowe 3.2 11. Zarządzanie strategiczne 4.1 12. Zarządzanie finansami 4.2 13. Zarządzanie operacyjne 4.3 14. Działania marketingowe i promocyjne 4.4 15. Pomoc materialna oraz stypendia studentów i doktorantów 5.1 16. Stypendia naukowe 5.2 17. Prowadzenie domów studenckich 5.3 18. Studenci niepełnosprawni 5.4 19. Planowanie zasobów oraz polityka zatrudniania 6.1 20. Polityka wynagrodzeń i świadczenia pozapłacowe 6.2 21. Umowy cywilnoprawne 6.3 22. Działalność socjalna 6.4 23. Bezpieczeństwo i higiena pracy 6.5 24. Zarządzanie nieruchomościami 7.1 25. Zarządzanie majątkiem ruchomym 7.2 26. Zaopatrzenie i transport 7.3 KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 28

Przypisanie wag zidentyfikowanych w ramach sytemu zadaniom. Wagi zadaniom nadaje audytor wewnętrzny na podstawie tzw. profesjonalnego osądu. Suma poszczególnych wag musi być równa 100%. Waga musi odzwierciedlać ważność i znaczenie danego zadania. Ocena ryzyka wartość natężenia danego zadania w systemie. Określenie wartości natężenia danego zadania w systemie następuje w oparciu o czterostopniową skalę: 1 niska, 2 średnia, 3 wysoka, 4 bardzo wysoka. Obliczenie ryzyka ważonego dla każdego zadania. Algorytm obliczeń Iloczyn wyniku oceny każdego zadania i przypisanej wagi. Wyniki przedstawiamy w formie tabelarycznej: Nazwa obszaru Waga Ocena ryzyka Ryzyko ważone Lp. Zadanie a b c=a b 1. 2. suma ryzyk ważonych (d): waga w % - suma z poszczególnych zadań daje 100% ocena ryzyka - punktowo: 1 niskie, 2 średnie, 3 wysokie, 4 - b. wysokie. Obliczenie średniego poziomu ryzyka ważonego dla obszaru. Algorytm obliczeń Suma wartości ryzyk ważonych dla każdego zadania wyszczególnionego w danym obszarze / liczba ocenianych zadań w obszarze. Wyniki przedstawiamy w formie tabelarycznej: Nazwa działalności Lp. 1. 2. Nazwa obszaru Suma ryzyk ważonych dla Ryzyko ważone dla Liczba zadań obszaru obszaru d e f=d/e KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 29

Przyporządkowanie obszarów do poszczególnych działalności. Schemat przyporządkowania poszczególnych zadań do obszarów oraz obszarów do działalności w formie graficznej przedstawiono poniżej: NazwaJednostki Działalność Obszar Obszar 1 Zadanie Zadanie 1.1 Zadanie 1.2 Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu II wspomagająca I podstawowa Obszar 2 Obszar 3 Obszar 4 Obszar 5 Obszar 6 Obszar 7 Zadanie 1.3 Zadanie 2.1 Zadanie 2.2 Zadanie 2.3 Zadanie 2.4 Zadanie 2.5 Zadanie 3.1 Zadanie 3.2 Zadanie 4.1 Zadanie 4.2 Zadanie 4.3 Zadanie 4.4 Zadanie 5.1 Zadanie 5.2 Zadanie 5.3 Zadanie 5.4 Zadanie 6.1 Zadanie 6.2 Zadanie 6.3 Zadanie 6.4 Zadanie 6.5 Zadanie 7.1 Zadanie 7.2 Zadanie 7.3 Uporządkowanie obszarów według wartości ryzyka ważonego. Po ustaleniu kolejności obszaru, w której wartość ryzyka ważonego była największa audytor wewnętrzny przy ocenie i wyznaczeniu obszaru, z którego przeprowadzone zostaną zadania zapewniające, uwzględnia ilość kontroli przeprowadzonych w danym obszarze przez Dział Kontroli Wewnętrznej w Uczelni oraz ilość kontroli zewnętrznych przeprowadzonych również w danym obszarze. Wyniki przedstawiamy w formie tabelarycznej: Lp. Nazwa obszaru kolejność ilość kontroli wewnętrznych w roku ilość kontroli zewnętrznych w roku suma kontroli ostateczna kolejność I II KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 30

3. PLAN ROCZNY AUDYTU WEWNĘTRZNEGO Audyt wewnętrzny przeprowadza się w Uczelni na podstawie rocznego planu audytu, który opracowywany jest przez audytora wewnętrznego w porozumieniu z Rektorem/Kanclerzem. Zgodnie z 9 ust. 3 rozporządzenia MF jego kopia przesyłana jest do komórki audytu wewnętrznego utworzonej w Ministerstwie Zdrowia do 15 stycznia każdego roku. Roczny plan audytu przedstawia to, czego audytor wewnętrzny zamierza dokonać w ciągu roku. 3.1. Plan audytu zawiera w szczególności elementy określone 9 ust. 1 rozporządzenia MF, tj.: a) listę obszarów ryzyka, w których zostaną przeprowadzone zadania zapewniające, b) informacje na temat czasu planowanego w osobodniach na realizację poszczególnych zadań zapewniających, c) informacje na temat czasu planowanego w osobodniach na realizację czynności doradczych, d) informacje na temat czasu planowanego w osobodniach na monitorowanie realizacji zaleceń oraz realizację czynności sprawdzających, e) kontynuowanie zadań audytowych z roku poprzedniego. 3.2. Audytor wewnętrzny w celu przygotowania planu audytu wewnętrznego dokonuje analizy obszarów ryzyka w zakresie działania Uczelni biorąc pod uwagę w szczególności: a) wynik analizy ryzyka, b) priorytety kierownika jednostki i komitetu audytu, c) dostępne zasoby osobowe. 3.3. Audytor przygotowując roczny plan uwzględnia, poza stopniem ważności obszarów ryzyka, oczekiwania Rektora jak również czynniki organizacyjne: a) czas niezbędny do: przeprowadzenia zespołu działań podejmowanych w ramach audytu wewnętrznego, zwanego dalej zadaniem audytowym, przeprowadzenia czynności organizacyjnych, b) czas przeznaczony na szkolenie osób zatrudnionych na stanowiskach związanych z przeprowadzaniem audytu wewnętrznego, c) rezerwę czasową na przeprowadzenie zadania audytowego, w ramach audytu wewnętrznego zleconego, d) rezerwę czasową na nieprzewidziane działania, KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO 31